Een verplichting wordt zelden op één afdeling nagekomen. Beleid wordt geschreven door juridische zaken, uitgevoerd door de business, gecontroleerd door finance en soms opnieuw beoordeeld door een externe partij. Elk van die stappen laat een spoor achter: een document, een e-mail, een goedkeuring, een logboek. Dat spoor is het bewijs. Het probleem ontstaat niet doordat er geen bewijs is, maar doordat niemand precies weet waar het ligt.
De meeste organisaties werken met een combinatie van systemen die niet voor dit doel zijn gebouwd: een intranet voor beleid, een HR-systeem voor trainingen, een inkoopsysteem voor leveranciersverklaringen, een mailbox voor correspondentie met een toezichthouder. Elk systeem bewaart zijn eigen deel van het verhaal. Geen van die systemen toont het geheel. Wie moet aantonen dat een verplichting is nagekomen, moet dus eerst uitzoeken in welk systeem het relevante bewijs staat, en vervolgens of dat bewijs nog actueel is.
Bij een enkele entiteit is dit al een uitdaging. Bij een groep met meerdere entiteiten, vestigingen of landen groeit het probleem mee. Een verplichting die op groepsniveau is belegd, moet vaak lokaal worden aangetoond, en andersom. Wat dat concreet betekent voor wat telt als bewijs bij een verplichting binnen een groep met meerdere entiteiten, hangt af van hoe de groep is gestructureerd en welke entiteit welke rapportage indient. Dezelfde vraag over verspreiding zelf komt terug in waar bewijs verspreid raakt bij een groep met meerdere entiteiten, waar de structuur van de groep zelf een factor wordt.
Bewijs dat bestaat maar niet vindbaar is, functioneert bij een controle als bewijs dat niet bestaat. Een auditor, toezichthouder of het bestuur zelf moet kunnen nagaan wie waarvoor verantwoordelijk was en waar de onderbouwing ligt. Dat vraagt om een vaste plek per verplichting, niet om een zoektocht door afdelingen op het moment dat de vraag wordt gesteld. Hoe die vindbaarheid in de praktijk wordt ingericht, staat beschreven in hoe u bewijs bewaart zodat een auditor het vindt.
Het aanwijzen van een eigenaar per verplichting lost het probleem van verspreid bewijs niet automatisch op, maar maakt het wel zichtbaar. Een eigenaar die weet dat hij verantwoordelijk is, gaat op zoek naar het bewijs dat bij zijn taak hoort, en ontdekt dan vaak dat het verspreid is over meerdere systemen of collega's. Dat is het moment waarop verspreiding een probleem wordt dat kan worden opgelost in plaats van een probleem dat onopgemerkt blijft. Wat eigenaarschap precies inhoudt en waarom het los staat van wie de taak uitvoert, komt aan bod in wie eigenaar is van een verplichting.
Een ander punt waarop bewijs uiteenvalt: het bestaan van beleid zegt niets over de uitvoering ervan. Een document dat beschrijft hoe een proces zou moeten verlopen, is geen bewijs dat het proces ook zo verloopt. Dat vraagt een ander soort bewijs, namelijk aantoonbare uitvoering: logs, steekproeven, afwijkingsrapportages. Het verschil tussen deze twee lagen van bewijs, en hoe u ze naast elkaar legt, staat toegelicht op hoe u aantoont dat beleid ook praktijk is.
Om verspreid bewijs beheersbaar te maken, is een vast overzicht nodig: per verplichting de eigenaar, het bewijs en de control die aantoont dat het proces werkt. Zonder die structuur blijft bewijs verspreid liggen totdat iemand het nodig heeft, en dan is het vaak te laat om het nog compleet te verzamelen. Hoe zo'n overzicht is opgebouwd en wat een control daarin toevoegt, staat beschreven op wat een control matrix is.
De vraag of een organisatie in control is, wordt niet beantwoord met een verklaring maar met bewijs dat op het juiste moment vindbaar is. Zolang dat bewijs verspreid ligt over afdelingen en systemen die elk hun eigen deel bewaren, is die vraag niet met zekerheid te beantwoorden. Het samenbrengen van eigenaar, bewijs en control per verplichting is de stap die dat wel mogelijk maakt.
Het verzamelen en actueel houden van dat bewijs is zelf ook werk, verspreid over veel kleine taken: documenten opvragen, versies controleren, overzichten bijwerken. De werkscan van FTE TO AI rekent per taak uit welk deel daarvan door AI is over te nemen, zodat duidelijk wordt welk deel van dit werk automatisering aankan en welk deel menselijke beoordeling blijft vragen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.